Claw Skill Security Audit 是一款专为代码库设计的安全审计工具，旨在通过系统化的分析方法识别和评估潜在的安全漏洞与风险。该工具严格遵循‘仅在明确请求时执行分析’的核心原则，确保每次审计都基于用户的直接指令展开，避免无差别扫描或干扰正常开发流程。其核心理念包括将外部输入视为恶意数据、坚持最小权限原则以及实现安全失败机制，从而在保障代码安全性的同时维护系统的稳定性与可靠性。 该工具专注于静态应用安全测试（SAST），能够深入检查源代码中的多种高危问题类型，涵盖注入攻击、访问控制缺陷、硬编码密钥、不安全的身份验证逻辑、隐私数据泄露以及大语言模型（LLM）相关的安全风险。它不仅支持对常规编程语言代码的扫描，还特别针对 AI 代理技能文件（SKILL.md）进行专项审查，防范因技能定义不当而引发的指令注入、数据外泄或权限提升等严重威胁。所有分析操作仅限于只读方式执行，如目录遍历、文本搜索和文件读取，且结果统一存储于 `.shield_security/` 目录下，最终生成详尽的安全报告供开发者参考。 整个审计过程强调高保真度与证据驱动，要求每一项发现都必须具备明确的代码位置、可验证的内容片段及实际影响路径。这意味着工具不会报告假设性弱点、注释内容或理论上的合规偏差，而是聚焦于真实存在于可执行代码中的安全隐患。这种严谨的设计使其成为开发团队在集成阶段进行安全左移（shift-left security）的理想选择，帮助提前拦截关键漏洞，降低后期修复成本与项目风险。
核心功能特点
- 仅在用户明确要求时执行安全审计，遵循选择性行动原则
- 全面检测注入漏洞、访问控制缺陷、硬编码密钥等常见安全问题
- 专门审查 AI 代理技能文件（SKILL.md），防止指令注入与数据外泄
- 采用只读操作模式，支持 ls -R、grep、read-file 等安全工具调用
- 基于高保真规则生成结构化报告，包含漏洞类型、位置、影响与修复建议
- 严格区分严重等级（Critical/High/Medium/Low），便于优先处理高风险项
适用场景
Claw Skill Security Audit 特别适用于需要强制实施代码安全审查的开发场景，尤其是在涉及敏感数据处理或第三方集成的项目中。例如，当团队使用 AI 代理来自动化任务执行时，必须确保这些代理的技能配置文件未被篡改或包含恶意指令，否则可能导致系统被劫持或用户隐私信息外泄。该工具可在此类场景中快速扫描所有 SKILL.md 文件，识别出试图绕过系统提示、窃取凭证或伪装成管理员身份的异常行为，有效防范社会工程攻击与权限滥用。 对于持续集成/持续部署（CI/CD）流水线而言，该工具可以作为自动化安全检查的一环嵌入构建流程中。开发人员可在代码合并前触发 SAST 扫描，自动检测新提交代码中是否存在 SQL 注入、跨站脚本（XSS）或命令注入等高危漏洞。由于工具仅依赖只读操作且不修改任何文件，因此不会对现有构建环境造成干扰，同时生成的详细报告能精准定位问题行号并提供具体修复方案，显著提升开发效率与安全质量。 此外，在应对大语言模型（LLM）应用的安全挑战时，该工具展现出独特价值。许多 LLM 驱动的系统中存在将用户输入直接拼接到系统提示语的风险，一旦遭遇提示注入攻击，攻击者可能完全操控模型输出甚至获取内部数据。Claw Skill Security Audit 不仅能发现此类 Prompt Injection 漏洞，还能识别 LLM 输出被用于执行危险操作（如 eval() 或 shell 命令）的情况，从而阻断从自然语言到代码执行的恶意链条。这使得它成为构建安全可靠的 LLM 应用不可或缺的一环。